Aller au contenuistheinternetok
Tous les incidents

Faille de sécurité·Critique

Sites WordPress : une faille lors des mises à jour permet d'exécuter du code

Correctif dispoLes attaquants l'utilisent déjàConcerne les propriétaires de sites
WordPress Core

Ce que ça change pour vous

Rien de visible pour vous ; les propriétaires de sites doivent mettre à jour.

Une faille dans la façon dont WordPress se met à jour permet à un attaquant sans compte de prendre le contrôle d'un site pendant une mise à jour. Un correctif existe et la CISA indique que des attaquants l'exploitent déjà.

Début : 28 oct. 2026Mis à jour : 4 nov. 2026

Poster sur X

Que faire ?

Vous
Rien à faire.
Si vous gérez un site ou une appli
Mettez WordPress à jour en 7.1.4 (ou la version corrigée de votre branche) maintenant et bloquez l'accès web à wp-content/upgrade/. Vérifiez que votre site n'a pas été compromis.

Ce qui est touché

CVE-2026-119977

Chronologie

  1. Correctif dispo · 3 nov. 2026

    La CISA ajoute CVE-2026-119977 à son catalogue des failles exploitées : des attaquants l'utilisent. Wordfence signalait déjà des milliers de requêtes de sondage depuis le correctif.

    CISA

  2. Correctif dispo · 28 oct. 2026

    WordPress 7.1.4 corrige une faiblesse du processus de mise à jour pouvant mener à l'exécution de code à distance. Les correctifs pour les branches anciennes jusqu'à la 4.7 arrivent.

    WordPress

Sources